Handout - PROJECT CONSULT Unternehmensberatung Dr. Ulrich ...

Compliance
Produkte kaufen, sie selbst entwickeln oder eine Partnerschaft mit den traditionellen
Anbietern abschließen. Der Markt für Compliance-Lösungen bot die Chance, aus
dem engen, hart umkämpften Hardwaresegment für Speicherlösungen ins
Lösungsgeschäft auszubrechen. Da jedes Unternehmen sich zurzeit mit dem Thema
Compliance in der einen oder anderen Form auseinandersetzt und die
Konsolidierung von IT-Plattformen ebenfalls auf den Wunschlisten der CIOs steht, ist
der Zeitpunkt gut gewählt.
Zertifizierungen für Compliance-Lösungen?
Dass Anwender sich derzeit immer schwieriger orientieren können, liegt nicht nur an
den Anglizismen, den Akronymen und den immer neuen Begriffen. Häufig wissen sie
selbst nicht, was sie genau wollen bzw. was sie tun müssen. Zu undurchsichtig sind
viele der Vorgaben und die Werbeschlacht der Anbieter irritiert mehr, als sie hilft. So
schaut sich der potentielle Kunde gerade im Umfeld von Compliance-Lösungen nach
Stempeln, Siegeln und Zertifikaten um, die ihm Sicherheit in seiner Entscheidung
geben sollen. Er geht vielfach davon aus, dass Gesetze mit Vorgaben auch überprüft
werden, und so die Konformität festgestellt und den Produkten bestätigt wird. Dem ist
aber häufig nicht so. Es gibt keine Zertifikate für Produkte wie z.B. von Anbietern für
GDPdU-konforme Lösungen suggeriert wird. Eine Lösung kann auch nur im
Zusammenhang mit den Prozessen und den eingesetzten Verfahren im
Unternehmen selbst geprüft werden. Solche Prüfungen führen z.B. Wirtschaftsprüfer
durch. Diese individuellen Prüfungen ermöglichen jedoch keine generelle Aussage,
ob ein Produkt an sich auch geeignet ist, denn es muss auch entsprechend den
Vorgaben eingesetzt und betrieben werden. Auch wenn es wünschenswert wäre,
offizielle Zertifikate auf den Verpackungen der Produkte zu finden, die Komplexität
der Lösungen und die Individualität des Einsatzes sprechen dagegen.
So bleibt dem Anwender nur der Rückzug auf Standards, Codes of Best Practice und
Richtlinien, wie z.B. das Grundschutzhandbuch des BSI, um zu einer sicheren
Lösung zu kommen, die technologisch die Compliance-Anforderungen abdeckt.
Eines darf man aber in keinem Fall vergessen: Compliance ist nicht nur ein Thema
für Dokumentenmanagement und Archivierung, Compliance zieht sich durch alle
Softwarekomponenten, in denen aufbewahrungspflichtige Daten, Informationen und
Dokumente entstehen und verwaltet werden. Deshalb sind auch übergreifende
Richtlinien erforderlich, die alle Quellen und alle Formen der Nutzung von
Informationen berücksichtigen.
Information Compliance Policy
Basis für die Planung, Durchführung und kontinuierliche Umsetzung von Information
Compliance Management (IMC) im Unternehmen ist eine so genannte Information
Compliance Policy. Die Inhalte einer solchen Richtlinie und ihrer Umsetzung kann
man in vier Punkten zusammenfassen:
Kunde: Presse Projekt: Artikel Autor: Kff
Thema: Compliance Topic: Status: Fertig
Datei: Compliance.doc Datum: 29.03.2006 Version: 1.0
© PROJECT CONSULT GmbH 2006 Seite 11 von 16